Unidad de Planeacion Minero-Energetica
Rama Ejecutiva · Sector minas_energia · Unidad administrativa especial
Riesgo crítico. La entidad acumula 5 hallazgos críticos verificados. La superficie de ataque concurrente sugiere falta de auditoría reciente y configuraciones por defecto sin endurecer. Adicionalmente, 4 de los hallazgos detectados se replican en otras entidades del Estado — el patrón sugiere causa raíz compartida (proveedor común, template institucional o stack heredado). Acción inmediata: deshabilitar WP_DEBUG_LOG en producción y eliminar el log existente.
Hallazgos (7)
Hallazgo agrupado por similitud semántica (11 findings, 9 entidades)
CriticaML clustering identificó 11 findings similares afectando 9 entidades distintas. Categoría dominante: divulgacion_informacion. Severidades: {'critica': 11}. Muestra: wp-content/debug.log público en cortesuprema.gov.co | wp-content/debug.log público en upme.gov.co | wp-content/debug.log público en icanh.gov.co.
Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.
wp-content/debug.log público en upme.gov.co
CriticaGET https://upme.gov.co/wp-content/debug.log retorna log de errores PHP de WordPress.
El debug.log de WordPress contiene stack traces, paths absolutos del servidor, queries SQL y a veces credenciales. Acceso público es divulgación crítica.
WordPress debug.log público con 5 errores fatales en upme
CriticaGET /wp-content/debug.log: 5 fatal + 171 warnings. Paths internos del servidor leaked: 5 (/var/www/html/wp-settings.php, /var/www/html/wp-includes/kses.php, /var/www/html/wp-includes/functions.php). DB credentials visibles en texto: 0.
Un debug.log con stack traces fatales contiene paths absolutos del filesystem, queries SQL en falla (a veces con valores), y credenciales de DB embebidas en mensajes de error de WordPress. Si DB credentials visibles > 0, hay compromiso de base de datos confirmado.
Certificado wildcard cubre 1 dominios en upme.gov.co
MediaWildcards en SAN: *.upme.gov.co. Total SAN: 2.
Wildcard certs simplifican operación pero amplían el blast radius: si la llave privada se compromete, el atacante impersona TODOS los subdominios cubiertos. Buena práctica: cert por servicio.
DNSSEC ausente en upme.gov.co
MediaNo hay registro DS en zona padre.
Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.
DNS de upme.gov.co totalmente fuera de Colombia
MediaNS records: kanye.ns.cloudflare.com, nancy.ns.cloudflare.com
Toda la zona DNS está bajo proveedores extranjeros — los logs de queries DNS, claves DNSSEC y eventual modificación quedan bajo jurisdicción foránea. Para el Estado, esto debería evaluarse contra Ley 1581/2012.
83 portales cargan scripts externos sin verificacion de integridad
Media83 portales del Estado cargan bibliotecas JavaScript desde CDNs externos sin Subresource Integrity (SRI). Un CDN comprometido podria inyectar codigo malicioso.
Sin SRI, un compromiso del CDN externo infectaria automaticamente multiples portales del Estado colombiano.
Activos públicos (1)
upme.gov.co
portal principal
Observado: 2026-04-03